端口转发的逻辑很简单：在路由器上把某个外部端口指向服务器的内网地址，外面的人连你的公网 IP 加这个端口，请求就直达内部服务。问题也正出在这里——路由器分不清来的是你、你的朋友、自动扫描器，还是正寻找破绽的攻击者，它一律放行。于是挡住攻击的重担全压在应用本身身上，一个弱密码就可能让大门洞开。换用冷门外部端口能挡掉一部分明显的扫描，但全网的扫描器会自动探测海量地址和端口，一旦被盯上，就会反复回来。

更稳妥的做法是用网状 VPN（mesh VPN）。以 Tailscale 为例，它在服务器和你批准的手机、笔记本之间建立一条私有网络（tailnet），两端直连、端到端加密，全程不需要端口转发，也不用自己搭传统 VPN 服务器。装上之后，Tailscale 会给服务器分配一个稳定的私有地址，配合 MagicDNS 还能用一个好记的设备名访问，比如在浏览器里输 homeserver:8096 就能打开 Jellyfin。同类工具还有 ZeroTier、NetBird，以及普通的 WireGuard。

迁移时有个关键顺序：先装好 Tailscale 并用手机流量（而非家里 Wi-Fi）确认能连上服务器，再回头登录路由器删掉端口转发规则，连同 UPnP 自动生成的规则一起清掉；最后两头各测一遍——走 Tailscale 地址应当照常可用，走公网 IP 加旧端口则应连不通。

Tailscale 挡住了外网，但不代表对内网设备可以完全信任。文章建议用访问控制限定哪些用户、哪些设备能碰服务器，并且只给它们真正需要的服务：手机也许只需要 Jellyfin，不需要 SSH，也不该打开管理后台。子网路由（subnet routing）尤其要小心，把整张局域网都暴露给 Tailscale，会重新造出当初想逃离的那种“扁平、过度信任”的网络。至于网站、游戏服这类本就该公开的服务，作为例外保留在外网即可。

来源：How-To Geek